VAPOR PANDA, tác nhân có liên hệ với Trung Quốc, xâm nhập 9 trong số hơn 200 mục tiêu bằng các tác nhân AI

CrowdStrike cho biết tác nhân VAPOR PANDA có liên hệ với Trung Quốc đã sử dụng khung xâm nhập ARTEX vận hành bằng AI, chủ yếu chạy trên mô hình ngôn ngữ lớn DeepSeek do Trung Quốc phát triển và một mô hình thương mại thứ hai, để nhắm vào hơn 200 tổ chức tại ít nhất 14 quốc gia trong khoảng thời gian 11 ngày bắt đầu từ ngày 17 tháng 10 năm 2026. CrowdStrike Intelligence xác nhận hoạt động sau khi xâm nhập tại 9 tổ chức trong báo cáo được công bố ngày 29 tháng 10 năm 2026.

CrowdStrike OverWatch ghi nhận hoạt động khai thác xuất phát từ một bộ điều khiển ARTEX duy nhất, mà CrowdStrike Intelligence liên kết với cơ sở hạ tầng của VAPOR PANDA. Bộ điều khiển này định kỳ để lộ các công cụ của đối thủ, tệp mục tiêu và bản ghi hội thoại của tác nhân, cho thấy có nhiều chiến dịch—được gọi là các tác vụ trong khuôn khổ này—đang nhắm vào nhiều mục tiêu. Tại 9 tổ chức có hoạt động sau khi xâm nhập được xác nhận, đối thủ đã giành quyền truy cập, triển khai cửa hậu BLOODALCHEMY và tiếp tục thực hiện các cuộc tấn công rải thông tin xác thực, quét mạng và trinh sát. Đối thủ cũng tiến hành các hoạt động rải mật khẩu và quét thông tin xác thực nhằm vào ít nhất 12 tổ chức khác, trong đó có các viện nghiên cứu và cơ quan chính phủ đặt tại Mỹ và châu Âu.

Nhắm mục tiêu trên nhiều khu vực và lĩnh vực

CrowdStrike cho biết VAPOR PANDA đã tiến hành các vụ xâm nhập trên diện rộng bên trong bộ ngoại giao của hai quốc gia ở khu vực Mỹ Latinh, nhiều khả năng xâm nhập thành công một quốc gia thứ ba, đồng thời chuẩn bị các tệp mục tiêu để sử dụng sau này nhằm vào các bộ ngoại giao ở Trung Mỹ và châu Á. Đối thủ cũng xâm nhập một bộ nội vụ ở Trung Đông.

CrowdStrike cho biết một chiến dịch tập trung vào một quốc gia châu Âu duy nhất: bộ ngoại giao, phủ tổng thống và văn phòng thủ tướng, cùng các cơ quan quốc phòng, tư pháp, tài chính và tình báo của nước này. Một chiến dịch khác nhắm vào 19 tổ chức đặt tại Mỹ thuộc các lĩnh vực dược phẩm, bán dẫn, quốc phòng, hạt nhân và tài chính. Các nhà cung cấp dịch vụ viễn thông ở Mỹ, Bỉ và Philippines cũng bị xâm nhập.

Bên trong chiến dịch ARTEX

CrowdStrike cho biết VAPOR PANDA vận hành ARTEX chủ yếu bằng mô hình DeepSeek, đồng thời sử dụng thêm một mô hình ngôn ngữ lớn thương mại thứ hai theo hình thức thuê bao mà CrowdStrike Intelligence không thể xác nhận. Trong một vụ xâm nhập duy nhất, các tác nhân lập kế hoạch của đối thủ đã xử lý khoảng 1,4 tỷ token đầu vào. Theo CrowdStrike, con số này cho thấy quy mô của hoạt động tự động hóa và hàm ý rằng toàn bộ chiến dịch đã tiêu thụ nhiều hơn đáng kể.

Theo CrowdStrike, ARTEX kết hợp một tác nhân chính với các tác nhân lập kế hoạch và thực thi cấp dưới, cùng chia sẻ một đồ thị gồm các sự kiện, phát hiện và mục tiêu, qua đó đưa từng chiến dịch từ giai đoạn truy cập ban đầu, qua trinh sát máy chủ, đến di chuyển ngang. Khuôn khổ này vẫn có sự giám sát của con người. Các bản ghi hội thoại được khôi phục cho thấy một người điều hành đưa ra chỉ thị bằng tiếng Trung, được đánh dấu bằng nhãn có nghĩa là “chỉ thị của con người” và đóng dấu thời gian theo Giờ chuẩn Trung Quốc, yêu cầu các tác nhân tạo web shell, trích xuất thông tin xác thực của quản trị viên miền và kiểm tra mức độ bao phủ của các cảm biến trên thiết bị đầu cuối.

Báo cáo mô tả chi tiết hoạt động của tác nhân tại hai tổ chức dược phẩm đặt tại Mỹ. Ở tổ chức thứ nhất, tác nhân kết hợp một xác nhận Security Assertion Markup Language (SAML) chưa được ký với lỗ hổng thực thể ngoài XML (XXE) để truy cập dịch vụ siêu dữ liệu phiên bản trên nền tảng đám mây, qua đó có được một vai trò cho phép gửi lệnh quản trị đến hàng nghìn phiên bản; từ đó, tác nhân lấy được một tài khoản quản trị doanh nghiệp. Ở tổ chức thứ hai, tác nhân cài web shell, khai thác một dịch vụ điều phối không yêu cầu xác thực để giành quyền truy cập root trong môi trường container sản xuất, đọc các mật khẩu Local Administrator Password Solution và lợi dụng sai mục đích cơ chế ủy quyền bị giới hạn dựa trên tài nguyên để mạo danh một tài khoản có đặc quyền.

Báo cáo cũng mô tả một chiến dịch nhằm vào một cơ quan chính phủ Hy Lạp, trong đó người điều hành cung cấp cho tác nhân bản xuất danh bạ năm 2022 từ máy chủ thư của tổ chức, có chứa các khóa xác thực nhiều khả năng chưa từng được luân chuyển kể từ đó. Tác nhân dùng các khóa này để giả mạo token quản trị và đọc các hộp thư, sau đó xâm nhập mạng nội bộ thông qua cấu hình VPN lấy từ thư đã gửi của một người dùng và khóa máy khách VPN mà theo lời người điều hành, có nguồn gốc từ một vụ rò rỉ email vào tháng 5 năm 2024.

CrowdStrike cho biết trong các chiến dịch này, các tác nhân đồng thời theo đuổi nhiều hướng tấn công trên ứng dụng web, dịch vụ đám mây, môi trường container, Active Directory, cũng như hạ tầng thư điện tử và VPN; khi một hướng thất bại, chúng chuyển sang cách tiếp cận khác. Trước đây, CrowdStrike từng ghi nhận các tác nhân đe dọa sử dụng tác nhân AI để hỗ trợ từng vụ xâm nhập riêng lẻ; còn VAPOR PANDA tiến hành nhiều chiến dịch cùng lúc và chỉ can thiệp để chuyển hướng các tác nhân tại những thời điểm cần đưa ra quyết định. Người điều hành cũng yêu cầu các tác nhân né tránh hệ thống phòng thủ thiết bị đầu cuối: tại một tổ chức dược phẩm toàn cầu, người này bảo các tác nhân “tìm các máy Windows trong miền không có Falcon, căn cứ vào danh sách tác vụ và danh sách thư mục”, sử dụng một cách nói lóng của đội đỏ thuộc Cộng hòa Nhân dân Trung Hoa mà CrowdStrike xác định là chỉ cảm biến CrowdStrike Falcon.

Triển khai BLOODALCHEMY

CrowdStrike cho biết VAPOR PANDA đã triển khai BLOODALCHEMY tại một bộ nội vụ ở Trung Đông và một bộ ngoại giao ở Mỹ Latinh. Đây là cửa hậu lần đầu được công bố vào tháng 10 năm 2023. Đối thủ đã đổi tên một tệp nhị phân GameHook hợp pháp thành svchost.exe và dùng tệp này để tải một DLL độc hại có tên graphics-hook-filter64.dll. Sau đó, DLL giải mã tệp tải trọng BLOODALCHEMY graphics-hook_config.bin. Đối thủ cũng đặt các bản sao của cả ba tệp trong những thư mục công khai bị lộ. Mã cấy ghép chứa đường dẫn dự án nội bộ D:\ProjectX\Merman_New\; theo CrowdStrike, đường dẫn này có thể phản ánh tên mà nhóm phát triển nội bộ đặt cho phần mềm độc hại. BLOODALCHEMY liên lạc với cơ sở hạ tầng của VAPOR PANDA, trong đó có các tên miền chỉ huy và điều khiển nginxmysql.com và sqlserver-sqlite.com. Theo báo cáo, những chỉ dấu này không xuất hiện trong các báo cáo công khai trước đây về ARTEX.

Đánh giá và biện pháp phòng vệ được khuyến nghị

CrowdStrike nhận định chiến dịch này khác với hoạt động ARTEX mà các nguồn tin trong ngành đưa tin dưới tên gọi Storm-0940. Theo đánh giá của CrowdStrike, điều này nhiều khả năng cho thấy khung này đang nhanh chóng trở nên phổ biến trong số nhiều đối thủ có liên hệ với Trung Quốc. Kể từ năm 2021, VAPOR PANDA chủ yếu nhắm vào các tổ chức chính phủ, viện nghiên cứu chính sách, năng lượng và khai thác tài nguyên ở châu Âu, Bắc Mỹ, châu Đại Dương và Vương quốc Anh nhằm duy trì quyền truy cập lâu dài. Báo cáo mô tả đây là chiến dịch đầu tiên mà CrowdStrike ghi nhận đối thủ sử dụng công cụ xâm nhập dựa trên AI, đồng thời cho thấy phạm vi mục tiêu được mở rộng đáng kể sang các tổ chức dược phẩm, bán dẫn, hạt nhân và quốc phòng, cũng như các bộ ngoại giao tại những khu vực mới. Theo báo cáo, việc chiến dịch dựa vào DeepSeek cùng các mô hình thương mại khác, vận hành thông qua một bộ công cụ được xây dựng riêng, nhiều khả năng phản ánh nỗ lực có chủ đích nhằm tạo ra chuỗi công cụ bền bỉ, hoạt động với nhiều nhà cung cấp mô hình thay vì phụ thuộc vào một dịch vụ duy nhất.

CrowdStrike đánh giá rằng trong 12 tháng tới, các đối thủ có liên hệ với Trung Quốc rất có khả năng sẽ tiếp tục áp dụng các khung tác tử như ARTEX, kết hợp chúng với các mô hình ngôn ngữ lớn (LLM) có sẵn trên thị trường, qua đó giúp các nhóm nhỏ mở rộng quy mô xâm nhập và nhắm đến nhiều mục tiêu cùng lúc.

Báo cáo khuyến nghị các tổ chức thay mới khóa ký, khóa xác thực trước và thông tin xác thực dịch vụ sau mọi trường hợp nghi ngờ dữ liệu bị lộ, bao gồm cả các khóa lưu trong bản sao lưu cũ và bản xuất thư mục; bắt buộc xác thực chữ ký SAML, yêu cầu IMDSv2 và giới hạn quyền thực thi lệnh của các vai trò đám mây ở mức tối thiểu cần thiết trên các phiên bản; tìm kiếm các dấu hiệu của ARTEX, chẳng hạn như chuỗi artx hoặc artex trong tham số dòng lệnh, vai trò đám mây có tiền tố artx và thư mục C:\ProgramData\artx5v\; vá các thiết bị hướng ra internet, đặc biệt là máy chủ chạy Linux đã hoạt động lâu năm; đồng thời triển khai tác tử phát hiện và ứng phó điểm cuối theo thời gian thực trên toàn bộ môi trường, kể cả các máy chủ được cho là không thể truy cập từ internet công cộng.